Open Code Console Breach May выставили OpendAI, антропические и Google API ключи

Взломщик достиг системы наследия в OpenCode 16 октября и, возможно, разоблачил ключи от третьей стороны IA-провайдера, которые пользователи скопили в "Open Code Console", по словам компании. Console — это факультативная служба OpenCode: рабочее пространство сохраняет свой собственный ключ OpendAI, Anthropeic или Google, и Console использует этот ключ для вызова провайдера, чтобы члены команды могли использовать модели без просмотра ключа. Пострадавшая группа составляет 1,4% пользователей консолей, у всех из которых есть связи с внешним поставщиком, и OpenCode сообщил им по электронной почте об отзыве ключей от каждого поставщика и замене их. Электронная почта вышла утром 17 октября под рубрикой "Акции необходимы: потенциальный прорыв ключа поставщика". Ключи под угрозой - это те, что вставлены в Консоле. Командная линия OpenCode и настольные приложения хранят ключи от поставщика, добавленные в машине в базе SQLite. Нарушение включает в себя "Оперативный код Консоле, а не сам Открытый Кодекс", соучредитель Dax Rad написал ответ на X, и эти ключи «никогда не приходят к нам». Ключ поставщика — это удостоверение предъявителя: тот, у которого есть копия, может заполучить фактурируемые запросы по счету владельца до тех пор, пока поставщик его не отменит. Удаление ключа из Console не отменяет его, и бюджет Console также не может ограничить использование, потому что Консол видит только запросы, которые проходят через свой собственный портал. Для ключа, который был сохранен в рабочем…